グッドスマイルカンパニーで情報漏えい、顧客情報が閲覧される　オンラインストアは閉鎖

グッドスマイルカンパニーは、同社のオンラインストアに対する不正アクセスがあり、顧客情報が外部の第三者に閲覧されたことを確認しました。個人情報、購入履歴、一部のクレジットカード情報が漏えいした可能性があります。

ねんどろいどで知られる日本のフィギュアメーカーである同社は、10月23日に セキュリティインシデントを公表しました。権限のない第三者が10月19日から10月22日にかけてストアの管理システムにアクセスしたため、同社はウェブサイトを閉鎖しました。10月26日の更新では、インシデントの詳細と、顧客への影響の可能性について追加情報が示されています。

未完了の注文や登録済みの個人情報があるコレクターにとって、気になるのは次の点です。自分のアカウントが影響を受けたのか、支払い情報は無事なのか、そしてオンラインストアが利用できない間にどう対処すべきかです。

グッドスマイルカンパニーの情報漏えいで、どの情報が流出したのか

グッドスマイルカンパニーによると、権限のない第三者が、日本標準時の10月19日午後3時過ぎから10月22日午後10時ごろまでの間、オンラインストアの管理システム内の情報に複数回アクセスし、閲覧しました。

閲覧された可能性がある情報は次のとおりです。

• 個人情報：顧客の氏名、氏名の読み仮名、性別、住所、電話番号、メールアドレス
• 購入情報：注文日、商品名、数量、価格、配送先住所、受取人の連絡先、支払い方法、支払い状況
• 一部のカード情報：カードブランド、有効期限、カード番号の下4桁

同社は、カード番号の全桁、カード名義人名、セキュリティコードは、漏えいの可能性がある情報に含まれていないとしています。

影響を受けた顧客の人数や、漏えいした可能性のあるレコードの総数は公表されていません。

同社は、オンラインストアのシステムの脆弱性が悪用されたことが不正アクセスの原因とみています。セキュリティ体制を強化し、疑われる脆弱性に対処したうえで、個人情報保護委員会に報告したということです。

ただし、脆弱性の内容は公表されておらず、調査は続いています。10月26日の更新で同社は、今回の漏えいはPHPの脆弱性が原因ではないと説明しました。PHPの脆弱性には、10月21日から22日のメンテナンスで別途対処済みだとしています。

同社が不正アクセスを知ったのは10月23日です。オンラインストアを開発・保守するサービス事業者から通知を受けました。

フィッシングのリスクについては、eSecurity Planetが報じた ASOSの顧客データ流出インシデントで指摘された懸念と似ています。ただし、2件の漏えいは状況が異なります。

影響を受けたグッドスマイルカンパニーのストアと決済サービス

グッドスマイルカンパニーは、関連する複数のストアやサービスは別のシステムで運用されており、今回のインシデントの影響はないと説明しました。

対象外となるのは、Good Smile Company US、Good Smile Company Europe Online Shop、Good Smile Company Europe、Good Smile Company UK、ねんどろいどフェイスメーカー、楽天市場店です。

また、AmazonペイやPayPalなどの外部決済サービスで購入した際のクレジットカード情報は、同社のサーバーに保存されていないため、侵害されたストアから漏えいしていないとしています。

ただし、だからといって、関連する注文情報や連絡先情報が漏えいした可能性が否定されるわけではありません。影響を受けたオンラインストアは一時閉鎖が続いており、再開日は発表されていません。同社は、オンラインストアが利用できない状況でも、10月発送予定の既存の注文と予約の処理・発送を続けているとしています。

ストア閉鎖中に支払いエラーが発生した顧客は、サポートに問い合わせることができます。同社は、こうしたエラーを理由に、対象の予約が自動的にキャンセルされることはないとしています。

グッドスマイルカンパニーの顧客が今すぐ取るべき対策

グッドスマイルカンパニーは、インシデント後にアカウントを閉鎖した元会員を含む全会員にメールを送る方針です。調査の進展に応じて、影響を受けた可能性のある顧客には個別にも通知する予定です。

同社は、漏えいした情報がフィッシングや金融詐欺に使われたことは確認していません。しかし、顧客の連絡先や注文履歴があれば、犯罪者は本物らしく見せかけた詐欺メッセージを作りやすくなります。

攻撃者が実際の購入内容、配送先、支払い方法に触れて、顧客を信用させ、さらなる情報を引き出そうとするおそれがあります。

顧客は次のような対策を検討してください。

• 漏えいに関する通知は自分で確認する：メールやSMSのリンクをたどらず、グッドスマイルカンパニーの公式サポートサイトに直接アクセスしてください。
• 偽の配送連絡や支払い要求に注意する：注文について至急の支払い、アカウント確認、カード情報の更新を求めるメッセージは疑ってください。
• 決済状況を確認する：利用明細に身に覚えのない取引がないか確認し、不審な請求があればカード会社に連絡してください。
• アカウントを守る：パスワードの漏えいは確認されていませんが、アカウントごとに固有のパスワードを使い、対応していれば多要素認証を有効にしてください。心当たりのないパスワードリセットの要求にも注意が必要です。
• 予約の記録を保管する：オンラインストアが利用できない間は、確認メールや取引の詳細を保存しておいてください。

グッドスマイルカンパニーのアカウントを閉鎖したい顧客は、同社の 公式サポートフォームから申請できます。このフォームは、影響を受けたオンラインストアとは独立して運用されています。

顧客アカウントのセキュリティについては、eSecurity Planetが報じた 1170万件のレコードに影響したカプコンの情報漏えいも参考になります。日本の大手エンターテインメント企業で起きた別のインシデントを取り上げています。

ID関連のリスクが気になる方は、eSecurity Planetの 1300万人に影響したIDScanの情報漏えいの報道もご覧ください。個人情報が漏えいした場合に起こり得る影響がわかります。

グッドスマイルカンパニーの顧客にとって、この漏えいが重要な理由

グッドスマイルカンパニーは、カード番号の全桁とセキュリティコードは、閲覧された可能性のある情報に含まれていないとしています。しかし、漏えいした連絡先や購入履歴があれば、犯罪者は本物らしいフィッシングメッセージや不正な支払い要求を作りやすくなります。

コレクターにとっては、ねんどろいどの予約の遅延や支払い失敗に触れた詐欺メッセージが、本物に見えるおそれがあります。以前の取引の正確な内容が含まれていれば、なおさらです。こうした詐欺が実際に発生したということではありませんが、買い物の記録が漏えいするとセキュリティ上のリスクが生じる理由を示しています。

注文、返金、アカウント復旧に関する予期しない連絡は、直接返信せず、公式の窓口で確認してください。不審な支払い要求を受け取った場合は、金融情報を伝える前に、グッドスマイルカンパニーに直接問い合わせてください。

調査は続いており、グッドスマイルカンパニーはオンラインストアの再開時期を発表していません。詳細が明らかになるまで、顧客はアカウントを監視し、購入記録を保管してください。支払いやアカウントに関する要求に対応する前に、確認済みの同社発表を頼りにしましょう。

顧客情報が漏えいした別の最近の事例については、 Zeaburの情報漏えいで32万1810件のアカウントが影響を受けた件と、顧客が身を守るために取るべき対策をご覧ください。